Le 14 août 2026, la DGFiP a confirmé le vol de données concernant 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN pour les entreprises. Les espaces impots.gouv.fr, les identifiants et les mots de passe n’ont pas été compromis. Le risque pour votre entreprise n’est donc pas le piratage de votre compte fiscal, c’est le faux message qui va suivre.
Un dirigeant de TPE n’a pas de temps à consacrer à une fuite de données nationale. Celle-ci mérite pourtant dix minutes. Des informations fiscales d’entreprises françaises circulent : raison sociale, SIREN, adresse, surfaces de biens immobiliers. Prises isolément, ce ne sont pas des données secrètes. Assemblées, elles fabriquent le faux courrier parfait. C’est un sujet de sécurité informatique, et il se traite avant l’incident, pas après.
Ce que Bercy a confirmé, et ce qui reste en cours
Le communiqué de presse du ministère de l’Économie et des Finances, publié le 14 août 2026 sous le numéro 953, est précis sur l’essentiel. Un acteur malveillant a obtenu des accès illégitimes au système d’information de la Direction générale des Finances publiques, en juin et juillet 2026, en usurpant les identifiants d’un agent et ceux d’un tiers habilité. Ces accès ont servi à consulter et extraire des données concernant 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et SIREN pour les entreprises. Des données cadastrales, adresses et surfaces de biens immobiliers, ont également été consultées.
Deux précisions comptent autant que le reste. Les espaces Finances publiques n’ont pas été compromis, les identifiants et les mots de passe non plus. Vous n’avez donc pas à craindre une connexion frauduleuse à votre espace professionnel.
La DGFiP contactera directement chaque personne concernée, par courriel ou par courrier. Retenez ce point : il commande la première des cinq mesures.
Pourquoi votre entreprise est concernée, pas seulement les particuliers
Cette fuite ne touche pas que les contribuables, elle touche aussi les entreprises. Prises une par une, ces informations paraissent anodines : votre SIREN est public, votre raison sociale aussi. Le problème n’est pas leur confidentialité, c’est leur assemblage. Un escroc qui dispose du bon SIREN, de la bonne adresse, du bon nom de dirigeant et d’un élément fiscal exact n’a plus besoin d’écrire un message approximatif. Il écrit un courrier crédible. Le faux avis de régularisation, la fausse relance, le faux changement de coordonnées bancaires d’un fournisseur : ces montages échouent d’habitude sur un détail qui sonne faux. Cette fois, les détails seront justes. Et dans une PME, un seul virement frauduleux peut mettre la trésorerie en danger, et l’entreprise avec.
Le calendrier n’arrange rien. Le courrier officiel de la DGFiP va arriver. Les imitations arriveront en même temps.
Premier réflexe : l’état des lieux de vos adresses professionnelles
Avant de changer quoi que ce soit, regardez où vous en êtes. Le site Have I Been Pwned recense les fuites de données rendues publiques. Vous y saisissez une adresse mail, il vous dit dans quelles fuites connues elle apparaît. C’est gratuit par adresse, et gratuit aussi par domaine tant que celui-ci compte dix adresses compromises ou moins, ce qui couvre la plupart des TPE (source : documentation Have I Been Pwned, février 2026).
Deux limites, à connaître avant de s’y fier :
- il ne vous dira pas si vous êtes dans la fuite des impôts, car aucun outil public ne le permet à ce jour ;
- une absence de résultat ne signifie pas que rien n’a fuité, seulement qu’aucune fuite publique connue ne contient cette adresse.
L’exercice reste utile : il donne la liste des adresses professionnelles déjà présentes dans d’anciennes fuites. C’est souvent là que dort le mot de passe réutilisé depuis huit ans.
Les 5 mesures à mettre en place dans votre entreprise
1. Traitez toute communication « impôts » comme suspecte, y compris la vraie
Aucun clic sur un lien reçu par mail ou par SMS. Vous tapez impots.gouv.fr dans le navigateur, vous vous connectez, vous vérifiez. La règle vaut aussi pour la notification officielle de la DGFiP : elle est légitime, elle sera imitée. Prévenez surtout la personne qui ouvre le courrier et celle qui traite la comptabilité.
2. Activez la double authentification sur la messagerie
La boîte mail professionnelle réinitialise tous les autres mots de passe : c’est la clé du reste. La double authentification s’active en quelques minutes et bloque l’essentiel des connexions frauduleuses. Si votre messagerie professionnelle repose encore sur des comptes individuels sans administration centrale, c’est le moment de regarder.
3. Écrivez une procédure de double validation des virements
Une seule règle, écrite, connue de tous : tout changement de coordonnées bancaires d’un fournisseur et tout virement inhabituel se valident par un appel sur un numéro déjà connu. Jamais celui indiqué dans le message. Une demande urgente qui interdit de vérifier est une demande frauduleuse.
4. Modifiez les mots de passe identiques
Un mot de passe identique sur plusieurs services, c’est autant de services piratables le jour où un seul fuite. Faites la liste des comptes qui comptent : messagerie, banque, logiciel de gestion, portails administratifs. Un mot de passe différent sur chacun, dans un gestionnaire dédié plutôt que sur un carnet.
5. Vérifiez que votre sauvegarde se restaure, et sachez quoi déclarer
Une fuite chez un tiers ne menace pas vos fichiers, mais elle offre un bon prétexte pour tester ce que personne ne teste jamais. Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une sauvegarde. Et si c’est votre entreprise qui subit une violation de données personnelles, le RGPD impose une notification à la CNIL sous 72 heures.
Ce qu’on constate dans les Hauts-de-France
À chaque vague de faux messages administratifs, le scénario se répète chez nos clients, du Douaisis à Arras et à Valenciennes. Ce n’est presque jamais le dirigeant qui clique. C’est la personne qui traite les factures, un vendredi après-midi, sur un message qui ressemble aux dix précédents. Elle a bien fait son travail. Le message était bon.
C’est pour cette raison que nous poussons les mêmes trois choses avant d’ajouter le moindre outil : la double authentification sur la messagerie, une procédure de virement écrite, un numéro à appeler en cas de doute. 80 % des incidents que nous traitons sont résolus à distance, sur 200 interventions. Un doute sur un message se lève en trois minutes au téléphone. Un virement parti se récupère rarement.
Quand l’incident est déjà passé, tout se joue sur la vitesse de remise en route : c’est ce que raconte le cas de ce cabinet comptable d’Arras dont le serveur a été restauré en quelques heures.
Questions fréquentes
Comment savoir si mon entreprise fait partie de la fuite des impôts ?
Aucun outil public ne permet de le vérifier à ce jour. La DGFiP a annoncé le 14 août 2026 qu’elle contacterait directement chaque particulier et chaque professionnel concerné, par courriel ou par courrier, en précisant les données susceptibles d’avoir été consultées. Méfiez-vous des messages qui prétendent déjà vous informer : c’est un prétexte d’hameçonnage prévisible.
Mon mot de passe impots.gouv.fr a-t-il été volé ?
Non. Le communiqué du ministère de l’Économie et des Finances du 14 août 2026 indique que les espaces Finances publiques n’ont pas été compromis, et que les identifiants et les mots de passe ne l’ont pas été non plus. Changer ce mot de passe reste une bonne habitude, mais ce n’est pas l’urgence. L’urgence est de ne pas cliquer sur les faux messages qui vont suivre.
Have I Been Pwned est-il fiable et gratuit ?
C’est une référence reconnue, alimentée depuis des années par les fuites rendues publiques. La recherche par adresse mail est gratuite, et la recherche par domaine l’est aussi tant que le domaine compte dix adresses compromises ou moins. Il ne référence en revanche que les fuites publiques : il ne dira rien de la fuite des impôts.
Dois-je déclarer quelque chose à la CNIL ?
Pas pour cette fuite : la déclaration incombe à la DGFiP, qui a saisi la CNIL. L’obligation vous concerne quand c’est votre entreprise qui subit une violation de données personnelles, celles de vos clients ou de vos salariés. Le RGPD impose alors une notification à la CNIL dans les 72 heures. Sachez à l’avance qui s’en charge chez vous.
Ce qu’il faut retenir
Vous ne pouvez rien contre une fuite qui a eu lieu ailleurs. Vous pouvez beaucoup contre ce qui vient après : les cinq mesures ci-dessus tiennent en une matinée et n’engagent presque aucun budget. Pour en parler, ou simplement faire vérifier un message qui vous semble louche, appelez-nous. Une équipe de 4 personnes basée à Douai, un humain qui décroche au 03 27 94 67 60, du lundi au vendredi, de 9h à 12h et de 14h à 18h. Rappel en moins de 30 minutes, intervention sur site en moins de 4h. Vous pouvez aussi passer par notre page contact.
Article publié le 16 août 2026. Les investigations de la DGFiP se poursuivent : le nombre de personnes concernées et la nature exacte des données extraites peuvent encore évoluer.
Julien, équipe Dakara
